導入事例：十六銀行様

十六フィナンシャルグループは岐阜県・愛知県を営業基盤とする地域総合金融サービスグループです。「お客さま・地域の成長と豊かさの実現」をパーパスとして、中核企業の十六銀行とともに、サイバーセキュリティ管理態勢の強化に取り組んでいます。

十六銀行は、お客さまが銀行口座に自由にアクセスし、さまざまなサービスを利用できる利便性・快適性を高めています。そんな十六フィナンシャルグループおよび十六銀行が、最重要の経営課題の1つとして取り組んでいるのが、サイバーセキュリティ管理態勢の高度化です。

金融機関は重要インフラ事業者として、サイバーセキュリティ管理態勢の整備が求められています。十六フィナンシャルグループはサステナビリティKPI として「危機発生時における初動対応訓練の年2回以上の実施」を設定し、十六フィナンシャルグループ・十六銀行共同でサイバー攻撃のインシデント対応演習を定期的に実施しています。

十六銀行 DX部 システムデザイングループ 課長の安藤和雄氏は、「サイバー攻撃はシステム的な事象ではありますが、システム停止した場合は業務に大きな影響を及ぼします。重要インフラ事業者である金融機関として、お客さまの資産をお守りするため、営業店対応、顧客保護、広報対応、関係機関との連携など、全社的な危機管理の体制が必要との認識のもと、CSIRT だけでなく、緊急時対策本部と連携して対応する体制を整えています」と語ります。

十六銀行では従来、社内ポータル上に利用する情報システムを管理するページを設けて、情報システムの管理を行っていました。しかし、各担当者が内容を登録・更新する仕組みであることから、「登録内容が十分でない」、「登録内容が更新されていない」、「必要な情報が一元管理・把握できない」といった課題があったのです。特に、脆弱性情報の公開時、該当する情報システムの洗い出しに時間・労力を要していました。

「該当の情報システムは自分たちのデータセンターにあるにも関わらず、サイバーセキュリティ部門から各情報システムの担当者へ脆弱性の影響調査を依頼し、各情報システムの担当者は業務システムベンダーへ調査依頼を展開するという流れとなっていたため、影響調査が完了するのに数週間の時間を要していました。高度化、巧妙化、頻発化するサイバー攻撃に対して、このような時間感覚では、いずれ破綻することは目に見えていました」（井貝氏）

また、金融庁からの「サイバーセキュリティセルフアセスメント」において、「IT 資産管理ツール等によって変更を自動で反映している」かが問われるようになったことも背景に、十六銀行では2022年末頃から IT 資産管理ツールの情報収集を開始しました。

十六銀行は、下記の8つのプロセスを ServiceNow で実行することで、IT 資産管理および脆弱性管理の高度化を推し進めています。

1. オンプレミス・クラウド環境にまたがる情報資産の自動収集（ディスカバリー）
2. 収集情報に基づいたサービスマッピングの自動生成
3. サービスマッピングへのサービスごとの重要度自動反映
4. 自動脆弱性診断ツールとの連携による脆弱性検知アラートのチケット自動発行
5. サービスの重要度と脆弱性情報に基づいたリスクスコアの自動算出
6. リスクスコアに応じた対応期限の自動設定
7. サービス単位の脆弱性検知メール自動通知
8. 対応状況の可視化とリマインダーの自動送信

導入プロジェクトを支援した SBテクノロジー デジタルプラットフォームソリューション技術部 ServiceNow 第1グループの山野愛は、「今回の ServiceNow 導入にあたって、特に重視したのは OOTB（Out of the Box）の実践です。標準機能をそのまま利用し、実装を進めることで、開発作業や運用コストを最小限に抑えました」と話します。

もっとも、カスタマイズを一切行わなかったわけではありません。

「自動脆弱性診断ツールや SecOps が持っている標準リスクスコアではなく、十六銀行様が独自に設定している脆弱性対応基準に基づいて脆弱性のリスクスコアを算出しています。また承認についても、標準設定の2段階ではなくスピード重視により1段階とする一方、自己承認は許可しないよう制限をかけることにしました。お客様の業務特性をしっかり反映することで、最適な承認フローを実現しています」（山野）

ServiceNow の導入により、十六銀行の IT 資産管理と脆弱性管理に効果が出始めており、井貝氏は次のように語っています。

「ServiceNow ディスカバリーにより、タイムリーに構成情報が取得できるようになりました。どの情報システムに、どのアプリケーションの、どのバージョンがインストールされているのか、サイバーセキュリティ部門が自分だけで確認できるようになりました」（井貝氏）

特に脆弱性情報の影響確認スピードが飛躍的に向上したことが大きな成果だと言います。

「公表された脆弱性情報の影響確認においては、ServiceNow でバージョン番号まで確認できるため、余分な労力を減らすことに寄与しています。また、数週間要していた影響調査は、ServiceNow ディスカバリー対象であれば、1時間もかからないこともあります」（井貝氏）

また、2024年10月に金融庁から公表された「金融分野におけるサイバーセキュリティに関するガイドライン」に対して、ServiceNow は有効なツールと安藤氏は評価しています。

「ガイドラインでは情報システム台帳をはじめ、ハードウェアおよびソフトウェアを適切に管理するための手続・台帳などを整備し、『最新の状態を網羅的に把握できるようにすること』が求められています。十六銀行は ServiceNow によってガイドラインへの準拠を進めるための手段を得たものと認識しております」（安藤氏）